TCPdump使用教程

一. 安装 TCPDump

在 CentOS 中安装 TCPDump 非常简单。

安装 TCPDump：

yum install tcpdump -y

安装完成后，你可以通过输入tcpdump来验证安装是否成功：

tcpdump --version

二. 常用参数

这些选项允许用户根据需要调整 TCPDump 的行为，从而进行更精确的网络数据包捕获和分析。请注意，使用某些选项可能需要特定的权限或系统配置，且不同版本的 TCPDump 可能支持的选项有所不同。

三. 过滤表达式

1. 基于协议的过滤：

   • tcp

     : 过滤 TCP 协议数据包。

   • udp

     : 过滤 UDP 协议数据包。

   • icmp

     : 过滤 ICMP 协议数据包。

   • arp

     : 过滤 ARP 协议数据包。

   • ip

     : 过滤 IP 协议数据包。

   • ether

     : 过滤以太网帧。

   • wlan

     : 过滤无线局域网数据包。

2. 基于地址的过滤：

   • host

     : 过滤特定主机的数据包。例如host 192.168.1.100。

   • net

     : 过滤特定网络的数据包。例如net 192.168.1.0/24。

   • port

     : 过滤特定端口的数据包。例如port 80。

   • src和dst: 分别过滤源地址和目的地址的数据包。例如src 192.168.1.100或dst 192.168.1.100。

3. 基于端口的过滤：

   • tcp port

     : 过滤特定 TCP 端口的数据包。例如tcp port 80。

   • udp port

     : 过滤特定 UDP 端口的数据包。例如udp port 53。

4. 逻辑操作符：

   • and

     : 同时满足两个条件。例如host 192.168.1.100 and tcp port 80。

   • or

     : 满足任一条件。例如host 192.168.1.100 or host 192.168.1.101。

   • not或!: 排除满足条件的数据包。例如not host 192.168.1.100。

5. 基于数据包内容的过滤：

   • contains

     : 检查数据包是否包含特定字符串。例如tcp[20:] contains "GET"。

   • less

     ,greater: 比较数据包长度。例如less 1500。

   • =,!=,>,<: 比较操作符，用于 IP 地址、端口号等。

6. 基于时间戳的过滤：

   • less,greater: 基于时间戳的比较。

7. 基于MAC地址的过滤：

   • ether host

     : 过滤特定 MAC 地址的数据包。例如ether host 00:11:22:33:44:55。

8. 基于VLAN的过滤：

   • vlan

     : 过滤特定 VLAN 的数据包。例如vlan 10。

9. 基于TCP标志的过滤：

   • tcp flags

     : 基于 TCP 标志位过滤。例如tcp[tcpflags] & tcp-syn != 0。

10. 基于IP选项的过滤：

    • ip options

      : 基于 IP 选项过滤。

这些过滤方式可以组合使用，以实现更复杂的过滤逻辑。

例如，tcpdumphost 192.168.1.100 and tcp port 80将捕获来自或发往192.168.1.100且端口为 80 的 TCP 数据包。通过灵活运用这些过滤表达式，可以有效地捕获和分析网络中的特定流量。

四、实例

1. 捕获特定主机的所有流量：

tcpdump host 192.168.1.100

这个命令将捕获所有源或目的地址为192.168.1.100的数据包。

2. 捕获特定端口的流量：

tcpdump port 80

这个命令将捕获所有端口为 80（通常是 HTTP 服务）的数据包。

3. 捕获特定协议的流量：

tcpdump tcp

这个命令将捕获所有 TCP 协议的数据包。

4. 捕获特定网络的流量：

tcpdump net 192.168.1.0/24

这个命令将捕获所有源或目的地址在192.168.1.0/24网络范围内的数据包。

5. 捕获源地址或目的地址为特定主机的流量：

tcpdump src or dst host 192.168.1.100

这个命令将捕获源或目的地址为192.168.1.100的数据包

6. 捕获特定端口和主机的流量：

tcpdump src host 192.168.1.100 and port 80

这个命令将捕获源地址为192.168.1.100且端口为 80 的数据包。

7. 捕获特定 MAC 地址的流量：

tcpdump ether host 00:11:22:33:44:55

这个命令将捕获源或目的 MAC 地址为00:11:22:33:44:55的数据包

8. 捕获特定 VLAN 的流量：

tcpdump vlan 10

这个命令将捕获 VLAN ID 为 10 的数据包

9. 捕获特定 TCP 标志位的流量：

tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-ack) != 0'

这个命令将捕获带有 SYN 或 ACK 标志位的 TCP 数据包

10. 捕获 HTTP GET 请求：

tcpdump -nn -vv -X 'tcp[20:] matches "^GET |^Host: "

这个命令将捕获包含 "GET " 或 "Host: " 字符串的 HTTP 请求数据包，并以十六进制和 ASCII 码形式显示数据包内容

11. 捕获并保存数据包到文件：

tcpdump -w capture.pcap

这个命令将捕获所有数据包并保存到名为capture.pcap的文件中，以便后续分析。

12. 从保存的文件中读取数据包：

tcpdump -r capture.pcap

这个命令将从capture.pcap文件中读取并显示数据包。

13. 捕获特定时间范围内的数据包：

tcpdump -G 3600 -W 1 -w capture -C 200

这个命令将每小时创建一个新的数据包文件，每个文件大小不超过 200MB，最多保留一个文件。

14. 捕获特定 TCP 端口的 SYN 数据包：

tcpdump 'tcp[tcpflags] & tcp-syn != 0 and tcp port 80'

这个命令将捕获端口 80 上的 TCP SYN 数据包。